小迪吧的小迪后门就藏在会员注册页面的验证码接口里。那天凌晨两点，吧渗我用burp抓包时发现，小迪输入手机号后返回的吧渗JSON里居然带着数据库字段名——`user_id`、`phone`、小迪`invite_code`。吧渗正常前端只渲染验证码状态，小迪但这些多余字段像没关紧的吧渗水龙头，滴滴答答漏着内部结构。小迪
我试着把手机号改成`13800138000'`，吧渗返回包直接崩了，小迪报错页面上赫然写着MySQL版本和站点绝对路径。吧渗这站连基本的小迪预编译都没做。更离谱的吧渗是，验证码校验逻辑写在客户端——前端JS里有个`checkCode()`函数，小迪只要返回`true`就跳转。我把它改成`return true`，绕过短信轰炸限制，直接进到了设置密码环节。
注册完账号，个人中心有个“邀请好友”功能。URL是`/invite?uid=1024`。我把uid改成1023，页面加载出了别人的邀请码和手机号。遍历uid从1000到1100，拿到了三十多个用户的手机号和邀请关系链。其中有个uid=1001的账号，邀请码是`admin888`，我猜它可能是管理员小号。
试了下用1001的手机号加验证码`000000`登录，居然进去了。后台管理页面更粗糙——`/admin/userlist?page=1`，没有权限校验，直接渲染所有用户表。翻到第三页时看到个`role`字段，值为`superadmin`的用户id是1。我把自己账号的role改成superadmin，刷新页面，左侧菜单多出了“数据库备份”和“文件管理”。
文件管理能直接上传PHP。我传了个一句话木马`shell.php`，内容就一行``。用蚁剑连上去，发现服务器是Windows Server 2012，IIS 8.5，PHP 5.6。网站根目录下有个`config.php`，里面写着数据库账号`root`，密码`xiaoDi@2018`。用这个密码去连3306端口，成功。
数据库里有个`user_balance`表，记录着每个用户的虚拟币余额。我给自己加了100万，又去前台试了下提现功能——居然真能提，接口没做风控。提现记录里还有几个真实用户的银行卡号，都是明文存储。更搞笑的是，`admin_log`表里记录着管理员操作，最后一条是“2023-11-15 03:22:11 修改用户1024余额 -500”，那是我刚才改的。
从发现验证码漏洞到拿到数据库权限，总共花了四十分钟。这站没有WAF，没有日志审计，连最基本的输入过滤都没有。我退出来之前，在`config.php`里加了行注释：`// 建议把root密码改掉，另外别用PHP 5.6了`。然后删掉了上传的木马和数据库里的提现记录。
后来我查了下域名备案，是个本地的小型交友社区，注册用户不到两千。运维大概是个兼职大学生，用的还是网上下的织梦模板改的。这种站放在公网上，跟把钥匙插在门锁上没区别。我关掉浏览器，天已经亮了，楼下早餐摊的油条味飘上来。渗透测试报告我懒得写，反正也没人付钱。